扫描 25 个公开 MCP 服务器:仅 2/20 有完整 OAuth 2.1
No_Instruction_7657 · reddit · 2026-11-03
作者扫描了 25 个公开 MCP 服务器端点,发现认证现状堪忧,并发布了一个免费开源 CLI 审计工具。
扫描结果(25 个端点,20 个可达):
- 仅 12/25 强制认证
- 8 个公开服务器中 2 个暴露无认证的可变更(mutating)工具
- 仅 2/20 提供完整的 OAuth 2.1 discovery 文档
- 常见缺口:无 PKCE 广告、不支持 resource indicator、无 per-tool scopes,部分完全无认证
工具使用:
- npx -y u/patchbay-nebius/agent audit https://mcp.example.com/mcp
- 13 项检查,纯 HTTP 探测 + 静态分析,无后端、无 LLM、不回传数据
- 严重度分级做了上下文感知:公开只读服务器(如 DeepWiki)标记为 info 而非 critical
三个被初判为 critical 的服务器中,Chainflip 数小时内回复说明其无认证是有意设计(经纪类工具,用户自行链上签名),已降级;另两个处于 90 天责任披露期。工具 MIT 协议开源,完整方法论见博客。
「编程与Agent」频道最新
- oxc 新版解析提速最高 20%,rolldown 打包基准快约 6% — irvinebroque · 2026-11-03
- Qwen 在 Astra 上的提升并非权重内省，而是智能体工程循环 — petrusenko_max · 2026-11-03
- DeepSeek 超级智能体快 1.9 倍，但 token 消耗是 3.8 倍 — AIFlow_ML · 2026-11-03
- TMax v1.1 发布:30B 以下开源终端 Agent 登顶 TB2 榜 — natolambert · 2026-11-03
- Voice Ring：会辨声源方向和情绪的语音光环组件，支持 React/SwiftUI — alexcovo_eth · 2026-11-03
- 不写 YAML 了：用大模型把配置压进一个 0.8B 小模型 — chrisalbon · 2026-11-03